监控进程 api 调用 windows 7 vb.net/C# 或 C++答案

【问题标题】：Monitor process api calls windows 7 vb.net/C# or C++监控进程 api 调用 windows 7 vb.net/C# 或 C++
【发布时间】：2015-12-01 09:40:23
【问题描述】：

目前我正在开发一个安全监控应用程序，该应用程序可以持续监控创建的新进程。对于使用 wim 和事件观察器的即时消息，witch 在 VB.NET 中工作正常。但是我缺少 2 个功能。

我需要监控进程 API 调用，我一直在发疯似的在网上搜索，结果一无所获。

基本上我需要监控进程WaitForSingleObject、LoadLibraryA、CreateProcessW 和WriteProcessMemory。以及注册表访问/更改。

我希望这可以在没有系统范围的钩子的情况下完成，但从我能找到的情况来看，它不能通过 WMI 完成。

所以问题是，如何使用托管代码，我可以做什么。

【问题讨论】：

【解决方案1】：

我将专注于第二点，因为我对你的第一点没有经验。

为了检查进程是否已签名，我正在使用 Mark Russinovich 的 sigcheck.exe，因为它使用各种方法来验证文件。有些是目录签名的，有些嵌入了密钥，iirc 还有另一种奇怪的方法。没有简单的方法可以自己做。通过尝试自建方法来涵盖所有可能性，进行了奇怪的错误检测。希望信息有所帮助

【讨论】：